Con entornos de ejecución confiables basados en hardware (TEE), mantenemos los datos cifrados incluso mientras se procesan; las cargas de trabajo sensibles se ejecutan de forma segura en entornos de nube y de terceros.
Los temas críticos que aborda este servicio y el resultado que entregamos en cada uno.
Con tecnologías TEE basadas en hardware mantenemos los datos cifrados incluso mientras se procesan y hacemos posible el procesamiento de datos sensibles en entornos cloud y de terceros no confiables.
Medimos el impacto en el rendimiento por carga de trabajo con un PoC y establecemos objetivos reales de forma respaldada por evidencia mediante benchmarks de throughput, latencia y memory overhead.
Con remote attestation y gestión de claves basada en Azure Key Vault mHSM hacemos verificable la cadena de confianza.
En escenarios de analítica multipartita y procesamiento de datos sensibles atendemos las necesidades regulatorias de una forma alineada con los controles tecnológicos.
Cómo implementamos el servicio a través de los pilares de entrega, gobernanza y servicios conectados.
Viabilidad y PoC: evaluamos el caso de uso, desarrollamos un PoC y probamos la idoneidad con un benchmark de rendimiento.
Despliegue en producción: montamos el entorno de producción Confidential VM/Container y configuramos la infraestructura de attestation y gestión de claves.
Traspaso operativo: con una guía de troubleshooting y transferencia de conocimiento apoyamos al equipo para que opere la infraestructura confidential de forma independiente.
Superficies ilustrativas donde este servicio se activa comúnmente.
Organizaciones reguladas de finanzas y salud que quieren mantener los datos cifrados incluso mientras se procesan en un entorno cloud no confiable.
Organizaciones que quieren analizar datos en conjunto sin compartirlos mediante multi-party computation y federated learning.
Equipos de ciencia de datos que quieren proteger el entrenamiento de modelos de IA y la propiedad intelectual dentro de un entorno de ejecución confiable.
La profundidad de este servicio en temas técnicos y de cumplimiento específicos del sector.
Diseñamos la arquitectura con tecnologías de ejecución confiable basadas en hardware como Intel SGX, Intel TDX, AMD SEV-SNP y ARM CCA.
Montamos el entorno Confidential VM/Container sobre Azure Confidential Computing, AWS Nitro Enclaves o GCP Confidential VMs; los escenarios lift-and-shift no requieren cambios en la aplicación.
Con remote attestation (MAA), Azure Key Vault mHSM, BYOK y key wrapping construimos una cadena de confianza verificable.
El cifrado tradicional protege los datos en reposo y en tránsito, pero los datos deben descifrarse para ser procesados, dejándolos expuestos en la memoria durante la computación. Esta brecha es explotada por amenazas internas, hipervisores comprometidos y escenarios de acceso de proveedores de la nube. La computación confidencial elimina esta superficie de ataque al procesar datos sensibles dentro de Entornos de Ejecución Confiables (TEEs) reforzados por hardware que están verificados criptográficamente y son inaccesibles incluso para operadores de la nube, administradores de hipervisores o procesos privilegiados del sistema operativo.
Apoyar la revisión de evidencia para controles criptográficos que mantienen los datos sensibles protegidos dentro del alcance TEE aprobado
Habilitar la colaboración de datos interorganizacional en conjuntos de datos sensibles sin compartir datos brutos
Satisfacer los requisitos de protección de datos de más alto nivel para cargas de trabajo de IA en servicios financieros y atención médica
Nuestro compromiso de computación confidencial abarca la identificación de casos de uso, la selección de tecnología TEE, la portabilidad de aplicaciones o la migración de CVM, el despliegue de infraestructura de atestación y la integración de gestión de claves. Abordamos tanto escenarios de protección de cargas de trabajo de una sola organización como casos de uso de computación multipartita que involucran a múltiples organizaciones colaborando en datos sensibles. El alcance incluye la integración con la infraestructura PKI y HSM existente.
Permitir a las industrias reguladas procesar datos sensibles en entornos de nube sin violar las obligaciones de protección de datos
Proteger la propiedad intelectual del modelo de IA durante la inferencia incluso cuando se implementa en infraestructura compartida
Desbloquear casos de uso de colaboración de datos interinstitucional que antes estaban bloqueados legal o técnicamente
Los entregables de computación confidencial combinan artefactos de evidencia criptográfica que prueban las propiedades de seguridad con documentación de ingeniería que permite a su equipo mantener y extender la implementación. Los registros de verificación de atestación y las pistas de auditoría de liberación de claves proporcionan la base de evidencia para el cumplimiento normativo y los programas de garantía del cliente.
Proporcionar a reguladores y clientes empresariales pruebas criptográficas de la protección de datos en uso
Habilite la adopción de la computación confidencial a escala con patrones de arquitectura reutilizables y automatización de despliegue
Satisfaga los requisitos de seguridad en la nube de nivel más alto para cargas de trabajo de servicios financieros, atención médica y gobierno
La atestación remota es el proceso mediante el cual una parte confiable puede verificar criptográficamente que un cálculo se está ejecutando en un TEE genuino y no modificado en hardware verificado antes de compartir datos o claves sensibles con él. Sin atestación, no se puede distinguir un TEE legítimo de una emulación de software o un entorno comprometido. La atestación produce una medición firmada de la configuración del TEE que puede verificarse contra las raíces de confianza del proveedor de hardware.
La complejidad de la migración depende de la tecnología TEE y la arquitectura de la aplicación. Las VM confidenciales (AMD SEV-SNP, Intel TDX) requieren cambios mínimos en la aplicación y pueden ejecutar cargas de trabajo existentes solo con cambios en la configuración de la infraestructura. Los enclaves a nivel de proceso (Intel SGX) requieren la partición de la aplicación para aislar el código y los datos sensibles dentro del límite del enclave, lo que normalmente implica cambios a nivel de código. Evaluamos su cartera de aplicaciones y recomendamos la tecnología TEE adecuada según su presupuesto de migración y requisitos de seguridad.
La computación confidencial protege los modelos de IA en dos escenarios: proteger un modelo propietario durante la inferencia en un entorno compartido o de terceros (los pesos del modelo permanecen cifrados y solo se descifran dentro del TEE), y proteger los datos de entrada sensibles del operador del modelo durante la inferencia (los datos del usuario se procesan dentro del TEE sin que el operador del modelo pueda inspeccionarlos). Ambos escenarios son cada vez más requeridos por las políticas de gobernanza de IA empresarial.
La sobrecarga de rendimiento varía según la tecnología TEE. Las VM confidenciales (SEV-SNP, TDX) introducen una sobrecarga mínima, con una sobrecarga medida específica de la carga de trabajo para la mayoría de las cargas de trabajo, lo que las hace adecuadas para aplicaciones de propósito general. Los enclaves de proceso (SGX) tienen una sobrecarga mayor debido a las restricciones de paginación de memoria segura, con una sobrecarga que depende del tamaño del conjunto de trabajo de la memoria. Evaluamos su carga de trabajo específica en un entorno TEE durante la fase de evaluación para proporcionar proyecciones de rendimiento precisas antes de comprometerse con una arquitectura.
Los tokens de atestación producidos por los servicios de atestación de proveedores de hardware están firmados criptográficamente y contienen una medición de la configuración de TEE, la versión del firmware y la política de seguridad en el momento del cálculo. Estos tokens constituyen evidencia a prueba de manipulaciones de que un cálculo ocurrió en un TEE genuino y no modificado. Los reguladores en servicios financieros y atención médica aceptan cada vez más la atestación de TEE como evidencia del más alto nivel de protección de datos en uso.
Sí. Las VM y enclaves confidenciales se integran con servicios nativos de la nube, incluyendo la gestión de claves (Azure Key Vault, AWS KMS), grupos de seguridad de red, gestión de identidad y acceso, y servicios de monitoreo y registro. La capa de computación confidencial añade controles de protección de datos en uso sobre los controles de seguridad de la nube existentes, en lugar de reemplazarlos, lo que permite una arquitectura de defensa en profundidad.
Este formulario breve dirige su solicitud al equipo de soporte correcto. Primero aclaramos el contexto, luego definimos el método de intercambio seguro.
Primer contacto consciente de la privacidad; flujo de intercambio seguro cuando sea necesario; sin presión de ventas.
